CVE-2026-13039
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
Wtyczka Eventin dla WordPressa (wersje 4.0.26 do 4.1.15) zawiera lukę w autoryzacji w funkcji payment_complete() w pliku PaymentController.php. Niezautoryzowani atakujący mogą oznaczyć nieopłacone zamówienia biletów jako zrealizowane, wysyłając spreparowany identyfikator SureCart lub hash koszyka FluentCart, co umożliwia uzyskanie dostępu do płatnych wydarzeń, kodów QR i e-maili potwierdzających bez dokonania płatności.
Ocena ryzyka
Organizacja narażona jest na straty finansowe i naruszenie integralności procesu rejestracji na wydarzenia – osoby nieuprawnione mogą uzyskać dostęp do płatnych treści i biletów, co podważa zaufanie do systemu i może prowadzić do wycieku danych uczestników.
Rekomendacja
Niezwłocznie zaktualizuj wtyczkę Eventin do wersji nowszej niż 4.1.15, w której luka została załatana. Jeśli aktualizacja nie jest dostępna, tymczasowo wyłącz endpoint REST związany z funkcją payment_complete() lub zastosuj reguły WAF blokujące podejrzane żądania.
Inne podatności w Eventin
Zobacz wszystkie- CVE-2026-77694Średnie
Wtyczka Eventin przed wersją 4.1.19 nieprawidłowo ogranicza zmiany, które token gościa przy kasie może autoryzować na zamówieniu. Pozwala to nieuwierzytelnionym użytkownikom oznaczyć własne nieopłacone zamówienie jako ukończone i otrzymać ważny płatny bilet bez dokonania płatności.
- CVE-2026-13172Średnie
Wtyczka Eventin przed wersją 4.1.22 nie ogranicza dostępu do nieopublikowanych treści pod względem statusu lub własności w jednym z przestrzeni nazw REST API. Pozwala to nieuwierzytelnionym użytkownikom na pobieranie szkiców, oczekujących i prywatnych postów należących do innych użytkowników, wraz z hasłami i zawartością postów chronionych hasłem.
- CVE-2026-13176Niskie
Wtyczka Eventin dla WordPressa przed wersją 4.1.21 nie weryfikuje adresu URL webhooka podanego przez użytkownika ani nie sprawdza własności wydarzenia, co pozwala użytkownikom z dostępem na poziomie współautora i wyższym na wywoływanie ślepych żądań po stronie serwera do dowolnych hostów.
- CVE-2026-13177Średnie
Wtyczka Eventin dla WordPressa przed wersją 4.1.20 nie ogranicza prawidłowo dostępu do poszczególnych rekordów zamówień, umożliwiając użytkownikom z dostępem na poziomie współautora i wyższym odczyt danych zamówień innych klientów, w tym danych osobowych, poprzez iterowanie identyfikatorów zamówień.
- CVE-2026-13171Wysokie
Wtyczka Eventin dla WordPressa przed wersją 4.1.20 nie przeprowadza kontroli autoryzacji w obsłudze rejestracji na listę oczekujących, umożliwiając nieuwierzytelnionym użytkownikom tworzenie kont użytkowników WordPressa dla dowolnych adresów e-mail oraz wstrzykiwanie rekordów zamówień.
- CVE-2026-13168Średnie
Wtyczka Eventin dla WordPressa przed wersją 4.1.20 nie ogranicza prawidłowo dostępu do przechowywanych rekordów klientów, umożliwiając użytkownikom z dostępem na poziomie współautora i wyższym odczyt danych osobowych innych klientów, takich jak imiona i adresy e-mail.
- CVE-2026-13178Wysokie
Wtyczka Eventin do WordPressa przed wersją 4.1.16 nie autoryzuje poprawnie tworzenia zamówień i akceptuje status zamówienia dostarczony przez atakującego. Niezalogowani użytkownicy mogą tworzyć zamówienia oznaczone jako opłacone bez dokonywania płatności.
- CVE-2026-12924Średnie
Wtyczka Eventin dla WordPressa (wersje do 4.1.15 włącznie) zawiera podatność na trwałe ataki XSS przez parametr 'etn_faq_content'. Brak odpowiedniej sanitizacji danych wejściowych i kodowania wyjścia umożliwia uwierzytelnionym atakującym (od poziomu contributor wzwyż) wstrzyknięcie dowolnego kodu JavaScript, który wykona się przy każdym wyświetleniu zainfekowanej strony.
Oryginalny opis (angielski, źródło NVD)
The Eventin – Event Calendar, Event Registration, Tickets & Booking (AI Powered) plugin for WordPress is vulnerable to authorization bypass due to a regression in versions from 4.0.26 up to and including 4.1.15. This is due to the plugin not properly verifying that a user is authorized to perform an action in the payment_complete() function of PaymentController.php. This makes it possible for unauthenticated attackers to mark unpaid ticket orders as completed by submitting a fabricated SureCart checkout ID or FluentCart cart hash, granting themselves paid event access, QR-code attendee tickets, and order confirmation emails without making any real payment. The wp_rest nonce required to reach the vulnerable endpoint is embedded in every public event page, meaning no WordPress session or credentials are needed to obtain it. This vulnerability represents a regression — the same function and endpoint were previously patched but the fix did not persist through subsequent releases.